GitHub Actionsを使ってAmazon Bedrock経由でClaudeを定期実行するワークフローを構築してみた

GitHub Actions (cron)
   │ OIDCトークン
   ▼
IAMロール（AssumeRoleWithWebIdentity / bedrock:InvokeModel のみ）
   │
   ▼
Amazon Bedrock ── Claude（例: Opus / Sonnet）

import * as cdk from "aws-cdk-lib";
import * as iam from "aws-cdk-lib/aws-iam";
import { Construct } from "constructs";

export class GithubBedrockOidcStack extends cdk.Stack {
  constructor(scope: Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    const githubOwner = "<your-org>";
    const githubRepo = "<your-repo>"; // ワークフローが動くリポジトリ
    const githubDomain = "token.actions.githubusercontent.com";

    // ① GitHub OIDC プロバイダ
    const oidcProvider = new iam.OpenIdConnectProvider(this, "GitHubOidcProvider", {
      url: `https://${githubDomain}`,
      clientIds: ["sts.amazonaws.com"],
    });

    // ② GitHub Actions が引き受けるロール（信頼条件で対象リポジトリに限定）
    const role = new iam.Role(this, "BedrockInvokeRole", {
      roleName: "github-actions-bedrock-invoke",
      // description は ASCII のみ
      description: "Role for GitHub Actions (OIDC) to invoke Claude models on Amazon Bedrock",
      maxSessionDuration: cdk.Duration.hours(1),
      assumedBy: new iam.OpenIdConnectPrincipal(oidcProvider, {
        StringEquals: {
          [`${githubDomain}:aud`]: "sts.amazonaws.com",
        },
        StringLike: {
          // 対象リポジトリの全ブランチ/イベントを許可。main限定なら ref:refs/heads/main
          [`${githubDomain}:sub`]: `repo:${githubOwner}/${githubRepo}:*`,
        },
      }),
    });

    // ③ Claude への InvokeModel だけを許可（最小権限）
    role.addToPolicy(
      new iam.PolicyStatement({
        sid: "InvokeClaudeModels",
        effect: iam.Effect.ALLOW,
        actions: ["bedrock:InvokeModel", "bedrock:InvokeModelWithResponseStream"],
        resources: [
          // 基盤モデル（クロスリージョン推論の経路先も含めて全リージョン）
          "arn:aws:bedrock:*::foundation-model/anthropic.claude-*",
          // 推論プロファイル（us. / apac. / jp. など）
          `arn:aws:bedrock:*:${this.account}:inference-profile/*anthropic.claude-*`,
        ],
      }),
    );

    new cdk.CfnOutput(this, "RoleArn", { value: role.roleArn });
  }
}

cdk deploy

name: Claude定期実行

on:
  schedule:
    # 毎日 22:00 JST（UTC 13:00）
    - cron: "0 13 * * *"
  workflow_dispatch: # 手動実行も可能

# 同時実行を防ぐ
concurrency:
  group: claude-scheduled
  cancel-in-progress: false

permissions:
  contents: write
  id-token: write # ← OIDC に必須

jobs:
  run:
    runs-on: ubuntu-latest
    timeout-minutes: 20
    env:
      AWS_REGION: ap-northeast-1 # Claude を使うリージョン

    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Setup Node.js
        uses: actions/setup-node@v4
        with:
          node-version: 20

      - name: AWS認証（OIDC）
        uses: aws-actions/configure-aws-credentials@v4
        with:
          role-to-assume: ${{ secrets.AWS_ROLE_TO_ASSUME }}
          aws-region: ${{ env.AWS_REGION }}

      - name: Claude Code をインストール
        run: npm i -g @anthropic-ai/claude-code

      - name: Claudeを実行（Bedrock）
        env:
          CLAUDE_CODE_USE_BEDROCK: "1" # APIキーの代わりに Bedrock を使う
          ANTHROPIC_MODEL: jp.anthropic.claude-opus-4-8 # 接頭辞付きの推論プロファイルID
        run: |
          claude -p "ここに Claude にやらせたいタスクを書く" \
            --max-turns 30 \
            --dangerously-skip-permissions

aws bedrock-runtime invoke-model \
  --region ap-northeast-1 \
  --model-id jp.anthropic.claude-opus-4-8 \
  --body '{"anthropic_version":"bedrock-2023-05-31","max_tokens":16,"messages":[{"role":"user","content":"ping"}]}' \
  --cli-binary-format raw-in-base64-out \
  /tmp/out.json && cat /tmp/out.json

gh workflow run claude-scheduled.yml --ref main
gh run watch "$(gh run list --workflow=claude-scheduled.yml --limit 1 --json databaseId --jq '.[0].databaseId')"